Betriebsdokumentation AGD Common Criteria Einleitung Diese Betriebsanleitung enthält Informationen und Hinweise für Benutzer und Administratoren zum sicheren Betrieb des ehealthterminal 15x3. Die Betriebsanleitung umfasst die Funktionalitäten die während der sogenannten Phase 1 (ehealth BCS) des Rollouts der Gesundheitskarte von den Geräten zur Verfügung gestellt werden. Für die spätere Online- Phase kann durch ein Firmware- Update die dafür notwendige SICCT- Funktionalität der Terminals freigeschalten werden. Die Betriebsanleitung ist in drei Teile gegliedert. Teil I enthält allgemeine Informationen zu den ehealth-terminals, Teil II enthält wichtige Informationen für den Benutzer, Teil III richtet sich an Systemverwalter und Administratoren und enthält wichtige Informationen zur Inbetriebnahme und sicheren Verwaltung der Terminals. Zusätzlich Informationen zur Funktion finden Sie im Dokument Bedienungsanleitung 644-0496 (Siehe Kapitel 2). Teil I - Allgemeine Informationen 1. Allgemeines Die Betriebsdokumentation beschreibt die Varianten des ehealthterminal 15x3. Das Produkt kann eindeutig als eine der unten genannten Varianten identifiziert werden. Überprüfen sie hierzu das auf der Rückseite aufgebrachte Typschild. ehealthterminal 15x3 ST-15x3xxxZ-R (R = optional) Die aktuelle Betriebsdokumentation und Software kann im Internet unter www.cherry.de eingesehen bzw. heruntergeladen werden. Zur Authentizitätsprüfung des Dokuments führen sie bitte nach dem Download der Betriebsdokumentation eine Signaturprüfung durch. Sie können hierzu die integrierte Funktion im Adobe Acrobat Reader verwenden. Zusätzlich benötigen Sie noch ein Plug-In das zusammen mit dieser Betriebsdokumentation im Internet zur Verfügung gestellt wird. 2. Bedienungsanleitung Die Betriebsdokumentation umfasst die Bedienungsanleitungen mit der Artikel-Nr. 644-0496, welche zusätzlich jedem Produkt beigepackt ist. Hier finden Sie weitere Informationen zum sicheren Betrieb und zur Funktionsweise des Produkts. 3. Sicherheitssiegel (Gehäuseversiegelung) 3.1 Allgemeine Informationen Anhand authentischer und fälschungssicherer Sicherheitssiegeln, welche über die Trennkante zwischen Gehäuseunter- und Oberteil geklebt werden, kann die Manipulationsfreiheit der Hardware sicher erkannt werden. Dies wird dadurch sichergestellt, dass ein Öffnen nicht ohne Beschädigung des Siegels möglich ist. Die Beschaffenheit (Zerstöreigenschaften) des Siegels gewährleistet, dass es nicht unbeschädigt entfernt und wieder aufgeklebt werden kann. Das verwendete Siegel ist fälschungssicher, weist Authentizitätsmerkmale auf und erfüllt die Sicherheitsstufe 2 entsprechend der BSI 7500 Druckschrift Produkte für die materielle Sicherheit [4]. 644-0497_00 DE Juni 2009 1
Es befinden sich am Terminal jeweils ein Siegel seitlich und ein Siegel an der Rückseite. Abb. 1 Siegelpositionen ehealthterminal 15x3 3.2 Siegelbeschreibung Das graue 20 mm lange und 12 mm breite Siegel ist mit einer fortlaufenden Seriennummer bedruckt. Zur sofortigen Prüfung befinden sich als Echtheitsmerkmal links neben der Seriennummer ein Farbstreifen mit reversibler Thermofarbe. Der Farbumschlag erfolgt durch z.b. leichtes Reiben mit dem Finger von rot nach transparent. Als zusätzliches Echtheitsmerkmal befinden sich noch der nicht sichtbare Schriftzug Security auf dem Siegel der unter UV- Licht bei 366nm sicht- und prüfbar wird. Jedes Siegel ist mit einer fortlaufenden 7-stelligen Nummer versehen, um die eindeutige Identifizierbarkeit zu gewährleistet. Das Siegel selbst ist als Zerstörsiegel ausgeführt, wodurch es nicht unbemerkt vom Produkt entfernt und wieder aufgebracht werden kann. Beim Abziehen des Siegels erfolgt ein irreversibler Farbumschlag der ein weißes Zerstörungsmuster auf dem Siegel zeigt. Um Manipulationen am Produkt zu erkennen, prüfen Sie bitte in regelmäßig Zeitabständen die Siegel, die Siegelnummer und die Unversehrtheit des Produkts. Bei Fragen zum Produkt wenden Sie sich bitte an Ihren Lieferanten bzw. das Technische Support Center der Marke Cherry, welches via Internet www.cherry.de erreichbar ist. Abbildung der Siegel Abb. 2 Siegel ohne Beschädigung Abb. 3 Siegel nach dem Ablösen 2
Teil II - Informationen für den Benutzer 4. Sicherheitshinweise Das ehealthterminal 15x3 ist für den stationären Einsatz konzipiert. Das Gerät ist für den Einsatz in Praxen, Apotheken und in Krankenhäusern gedacht. Diese Einsatzumgebung wird als kontrollierte Einsatzumgebung angenommen. 4.1 Hinweise zur sicheren Benutzung der Terminals Ein sicherer Betrieb der Geräte setzt die Umsetzung und kontinuierliche Einhaltung folgender Sicherheitsmaßnahmen voraus: Lesen Sie sich die zum Gerät dazugehörige Bedienungsanleitung und diese Betriebsdokumentation genau durch. Überzeugen Sie sich vor jeder Benutzung des Gerätes, dass keine sicherheitstechnische Veränderungen am Kartenterminal bzw. an der Verkabelung vorgenommen wurden, indem Sie die Unversehrtheit der Siegel (Sicherheitsmerkmale des Siegels siehe Kapitel 3) und des Gehäuses kontrollieren. Bei fehlendem, beschädigten oder dem Verdacht eines manipulierten Siegels bzw. Terminal wenden Sie sich bitte an Ihren Lieferanten! Bringen Sie auf dem Kartenterminal keine Aufkleber oder Notizzettel an, die Manipulationen am Gehäuse verdecken würden. Sorgen Sie dafür, dass das Personal mit den Sicherheitsvorkehrungen, die zum Schutz des Terminals notwendig sind, vertraut gemacht und geschult werden. 4.2 Hinweise zur Einsatzumgebung Das Terminal ist für den Einsatz in einer kontrollierten Umgebung konzipiert. Man versteht darunter Bereiche in denen ein Terminal nie länger als 30min.unbeaufsichtigt ist. In dieser Zeit hält ein Terminal einem Angriff mit hohem Angriffspotenzial durch seine implementierten Sicherheitsfunktionen stand. Ist ein Terminal länger unbeaufsichtigt (z.b. über Nacht) so muss es in einem geschützten Bereich gebracht werden. In diesem Fall ist das Terminal durch seine Umgebung geschützt. Das Terminal darf nur in einer kontrollierten Umgebung betrieben werden. Sorgen Sie dafür, das unbefugte Personen keinen unbeaufsichtigten Zugriff auf das Terminal haben. Wird das Terminal längere Zeit nicht benutzt ist sicherzustellen, dass das Terminal in einer abgeschlossenen Umgebung aufbewahrt wird. Wurde aus irgendeinem Grund von diesen Vorgaben abgewichen, schicken Sie das Gerät zur fachkundigen Überprüfung an den Händler zurück. 5. Sicherheitsfunktionen Die ehealth-terminals verfügen über folgende Sicherheitsfunktion damit ein sicherer Betrieb während der Phase 1 (ehealth-bcs) gewährleistet ist. Um das Terminal vor Manipulation zu schützen verfügt es über eine Sicherheitsfunktion die ein gewaltsames öffnen des Gehäuses im nicht sichtbaren Bereich erkennt und das Gerät sperrt. Diese Funktion warnt den Benutzer durch eine Displaymeldung vor Manipulationen am Terminal. Ein gesperrtes Terminal besitzt keine Funktionalität mehr und kann nur durch den Hersteller wieder freigeschalten werden. Geben sie gesperrte Terminals zur Überprüfung und Freischaltung an Ihren Fachhändler zurück. 3
6. Alarm- und Warnmeldungen 6.1 Allgemein Fehlermeldung im Display des Terminals Alarm Gehäuseüberwachung Bitte schicken Sie das Gerät zur Reparatur an den Hersteller. Fehlerhafter Code Bitte schicken Sie das Gerät zur Reparatur an den Hersteller Fehlerursache Das Gerät wurde möglicherweise manipuliert. Schicken Sie es zur Überprüfung an den Händler oder Hersteller zurück. Bei jedem Start des Gerätes wird eine Codeprüfung durchgeführt. Möglicherweise ist die Firmware fehlerhaft. Schicken Sie das Gerät zur Überprüfung an den Händler oder Hersteller zurück. 4
Teil III Informationen für Administratoren 7. Sicherheitshinweise Das ehealthterminal 15x3 ist für den stationären Einsatz konzipiert. Das Gerät ist für den Einsatz in Praxen, Apotheken und in Krankenhäusern gedacht. Diese Einsatzumgebung wird als kontrollierte Einsatzumgebung angenommen. 7.1 Sicherheitshinweise für den Administrator Ein sicherer Betrieb des ehealthterminal 15x3 setzt die Umsetzung und Einhaltung folgender Sicherheitsmaßnahmen bei der Inbetriebnahme und der Verwaltung des Terminal voraus: Lesen Sie vor der Inbetriebnahme die zum Gerät dazugehörige Bedienungsanleitung und diese Betriebsdokumentation genau durch. Überzeugen Sie sich vor Inbetriebnahme des Gerätes, dass keine sicherheitstechnischen Veränderungen am Kartenterminal bzw. an der Verkabelung vorgenommen wurden, indem Sie die Unversehrtheit der Siegel (Sicherheitsmerkmale des Siegels siehe Kapitel 3) und des Gehäuses kontrollieren. Bei fehlendem, beschädigten oder dem Verdacht eines manipulierten Siegels bzw. Terminal wenden Sie sich bitte an Ihren Lieferanten! Halten Sie Ihr Administrator- PIN geheim und geben Sie diese nicht weiter. Achten Sie darauf, dass Sie während der PIN- Eingabe nicht beobachtet werden. 8. Sicherheitsfunktionen Die ehealth-terminals verfügen über mehrere Sicherheitsfunktionen damit ein sicherer Betrieb während der Phase 1 (ehealth-bcs) gewährleistet ist. Um das Terminal vor Manipulation zu schützen verfügt es über eine Sicherheitsfunktion die ein gewaltsames öffnen des Gehäuses im nicht sichtbaren Bereich erkennt und das Gerät sperrt. Diese Funktion warnt den Benutzer durch eine Displaymeldung vor Manipulationen am Terminal. Ein gesperrtes Terminal besitzt keine Funktionalität mehr und kann nur durch den Hersteller wieder freigeschalten werden. Geben sie gesperrte Terminals zur Überprüfung und Freischaltung an Ihren Fachhändler zurück. Die Sicherheitsfunktion Sicherer Firmware- Update gewährleistet einen authentischen Update der Firmware zur Fehlerkorrektur oder zur Änderung bzw. Erweiterung von Funktionalitäten. Diese Funktionalität kann nur mit der entsprechenden Administrator-PIN angestoßen werden. (Nähere Informationen hierzu unter Kapitel 11) Zur sicheren Verwaltung der Terminals sind die Sicherheitsfunktionen Benutzeridentifizierung und authentifizierung sowie Managementfunktionen implementiert. Diese Sicherheitsfunktionen gewährleisten zum einen, dass vor der ersten Inbetriebnahme die Eingabe einer Initial- Administrator PIN erzwungen wird. (Siehe hierzu Kapitel 9) Außerdem werden dadurch verschiedene Sperrzeiten bei ungültiger PIN- Eingabe realisiert. (Siehe hierzu Kapitel 10) Folgende zwei Benutzerprofile sind in den Terminals implementiert: - Benutzer - Administrator Zur Nutzung des jeweiligen Profils ist eine Authentifizierung notwendig, die direkt am Terminal oder indirekt über das Web- Interface (siehe hierzu Bedienungsanleitung 644-0496-06) erfolgen kann. Direkt am Terminal erfolgt die Authentifizierung über die Eingabe einer 8-stelligen PIN. Über das Web- Interface kann sowohl eine 8-stelligen PIN als auch ein Passwort mit acht Zeichen zur Authentifizierung benutzt werden. Die Profile verfügen über unterschiedliche Berechtigungen. Ein Benutzer kann grundsätzlich nur sein eigenes Passwort oder seine PIN ändern sowie Terminaleinstellungen lesen und Anzeige- und Akustikeinstellungen verändern. Der Administrator kann Einstellungen zur Benutzerverwaltung, Netzwerkkonfiguration, sowie Terminalund Slot- Namen ändern und Pairinginformationen löschen. 5
9. Inbetriebnahme Um das ehealth-terminal in Betrieb zu nehmen schließen sie es an die USB- Schnittstelle eines PC an. Durch die Plug & Play- Fähigkeit des Produkts ist für die Installation der Treiber keine zusätzliche Systemverwaltung erforderlich. Nach dem ersten Start des ehealth-terminals werden Sie zur Eingabe einer benutzerdefinierten 8- stelligen Administrator- PIN aufgefordert. Verwenden Sie hierbei keine Trivial- PINs, wie z.b. 12345678 oder 11111111. Erst nach Eingabe einer PIN ist die Funktionalität des ehealth-terminals gegeben. Die PIN kann nur über das Tastenfeld des Terminals eingegeben werden. Über das Web- Interface kann die PIN jederzeit wieder geändert werden. Sollten Sie Ihre Administrator- PIN vergessen so sind keine Einstellungen am Gerät möglich für die Administratorrechte notwendig sind. Das Gerät muss dann zur Freischaltung an den Händler zurückgegeben werden. Eine Applikationssoftware gehört nicht zum Lieferumfang des Kartenterminals. 10. Managementfunktionen des Terminals Um die volle Managementfunktionalität des Terminal mit allen Administratorrechten nutzen zu können ist es notwendig, dass sich der Administrator mit seiner Administrator- PIN gegenüber dem Terminal authentifiziert. Wird eine ungültige Administrator-PIN drei mal oder öfter eingegeben ist das Terminal vorübergehend gesperrt. In der nachfolgenden Tabelle sind die Sperrzeiten abhängig von den falschen Eingabeversuchen aufgeführt. Anzahl der aufeinander folgenden ungültigen Kennworteingabe 3-6 1 Minute 7-10 10 Minuten Sperrzeit für die Kennworteingabe 11-20 1 Stunde ab 21 1 Tag Die Konfiguration des Terminals kann direkt am Terminal erfolgen oder am PC über den Internetbrowser. In der Bedienungsanleitung die dem Gerät beiliegt finden Sie hierzu eine detaillierte Beschreibung. 11. Firmware-Update Im späteren Lebenszyklus wird die Möglichkeit zum Firmware-Update gegeben. Es werden nur zertifizierte und vom BSI bestätigte Versionen zum Download bereitgestellt. Die Firmware (BIN- File) wird explizit unter Angabe der Zertifizierungs- und Bestätigungs-ID als solche gekennzeichnet. Diese ID kann auf der Internetseite der Bundesnetzagentur unter dem Sachgebiet Telekommunikation, elektronische Signatur eingesehen werden. Die aktuelle Firmware kann dem Kunden auf zwei unterschiedliche Arten zur Verfügung gestellt werden: Der Kunde erhält eine CD mit dem entsprechenden Setup- Programm. Der Kunde lädt das Setup- Programm von der Cherry Homepage unter http://support.cherry.de/. Das Setup- Programm beinhaltet die aktuelle Firmware- Version, das Tool sicctkonfiguration.exe zum Auslesen der Firmwareversion und Laden der neuen Firmware. Der Ablauf des Firmware- Updates ist in der Bedienungsanleitung des jeweiligen Gerätes genau beschrieben. 6
12. Fehler- und Warnmeldungen 12.1 Allgemein Fehlermeldung im Display des Terminals Alarm Gehäuseüberwachung Bitte schicken Sie das Gerät zur Reparatur an den Hersteller. Fehlerhafter Code Bitte schicken Sie das Gerät zur Reparatur an den Hersteller. Fehlerursache Das Gerät wurde möglicherweise manipuliert. Schicken Sie es zur Überprüfung an den Händler oder Hersteller zurück. Bei jedem Start des Gerätes wird eine Codeprüfung durchgeführt. Möglicherweise ist die Firmware fehlerhaft. Schicken Sie das Gerät zur Überprüfung an den Händler oder Hersteller zurück. 12.2 Firmware- Update Fehlermeldung im Display des Terminals Fehler: Kennwort falsch Die Version dieser Firmware ist niedriger als die Firmware im Gerät Signatur fehlerhaft Abbruch nach Timeout Fehlerursache Es wurde die falsche Administrator- PIN zum Start des Firmware- Updates eingegeben. Die für den Update verwendete Firmwareversion ist niedriger als die bereits im Gerät installierte Firmware. Verwenden Sie für den Update eine Firmwareversion die höher ist als die im Terminal angezeigt. Die für den Update verwendete Firmware ist nicht mit der gültigen Signatur versehen. Vergewissern Sie sich, dass es sich um eine vom Hersteller freigegebene Firmware handelt. Die aktuell gültige Firmware wird auf der Internetseite des Hersteller zur Verfügung gestellt. Während des Update ist die Verbindung zum Host- Rechner abgebrochen oder notwendige Benutzeraktionen wurden über längere Zeit nicht ausgeführt. Starten Sie den Update neu. 7
13. Abkürzungsverzeichnis BSI Bundesamt für Sicherheit in der Informationstechnik EAL Evaluation Assurance Level IT Informationstechnik LED Light Emitting Diode (Leuchtdiode) PC/SC Personal Computer/Smart Card PIN Personal Identification Number RAM Random Access Memory SF Sicherheitsfunktion SigG Signaturgesetz SigV Signaturverordnung 14. Literaturreferenzen [1] ISO/IEC 15408, Information technology Security techniques Evaluation criteria for IT security, First edition 1999-12-01ISO/IEC 15408-1:1999(E) [2] DIN ISO 7816-1 Identification cards - Integrated circuit(s) cards with contacts Physical Characteristics DIN ISO 7816-2 Identification cards - Integrated circuit(s) cards with contacts - Dimensions and locations of the contacts DIN ISO 7816-3 Identification cards - Integrated circuit(s) cards with contacts - electrical characteristics and transmission protocols DIN ISO 7816-4 Information technology - Identification cards - Integrated circuit(s) cards with contacts - Inter - industry commands for interchange [3] Signaturgesetz [SigG], Gesetz über Rahmenbedingungen für elektronische Signaturen und zur Änderung weiterer Vorschriften, vom 16.Mai.2001 [4] BSI 7500 Druckschrift, Produkte für die materielle Sicherheit, Version 1.00, Kapitel 4.4 Sicherheitsetiketten 8